在 Workspace ONE Access 目录设置过程中，您可以选择要从企业目录同步到 Workspace ONE Access 目录的用户属性。您可以从 Workspace ONE Access 控制台的设置 > 用户属性页面中管理用户属性列表。

默认属性

“用户属性”页面列出了可映射到 Active Directory 或 LDAP 目录属性的默认 Workspace ONE Access 目录属性。

您可以选择哪些属性是必需属性，哪些属性是可选属性。对于所有同步的用户记录，必须填充标记为“必需”的属性。缺少必需属性值的用户记录将不会同步到 Workspace ONE Access。还请记住，必须先将属性标记为“必需”，然后才能在 Workspace ONE Access 服务中创建任何目录。在创建目录后，您无法再将属性更改为必需属性。

下表列出了具有到 Active Directory 属性的默认映射的属性。您可以在创建 Workspace ONE Access 目录时更新这些映射。

表 1. 要同步到 Workspace ONE Access 目录的默认属性
Workspace ONE Access 目录属性名称 默认映射到的 Active Directory 属性
userPrincipalName userPrincipalName
域 canonicalName

添加对象的完全限定域名。
disabled（已禁用外部用户） userAccountControl。带有 UF_Account_Disable 标记。

帐户停用后，用户将无法登录以访问其应用程序和资源。为用户分配的资源不会从帐户中移除，这样从帐户移除该标记后，用户便可以登录并访问为其分配的资源。
distinguishedName distinguishedName
电子邮件 mail
employeeID employeeID
名字 givenName
姓氏 sn
sourceAnchor objectGUID
手机 telephoneNumber
用户名 sAMAccountName:

自定义属性

在“用户属性”页面上，您还可以输入要同步到目录的其他属性。在添加属性时，您输入的属性名称区分大小写。例如，address、Address 和 ADDRESS 分别是不同的属性。

无法将以下属性作为自定义属性名称，因为 Workspace ONE Access 服务在内部使用这些属性进行用户身份管理。

表 2. 不能用作自定义属性名称的属性
active externalId locale phoneNumbers timezone
addresses externalUserDisabled meta photos title
displayName 组 name preferredLanguage userName
emails id nickName profileUrl userType
employeeNumber ims 密码 schemas x509Certificates
注： 如果您的企业目录包含其中的任何属性，并且您需要将属性同步到 Workspace ONE Access，请在 Workspace ONE Access 中使用其他名称创建自定义属性，并将其映射到目录属性。例如，要将目录中的 employeeNumber 属性同步到 Workspace ONE Access，您可以在 Workspace ONE Access 中创建名为 newEmployeeID 的属性，并在创建 Workspace ONE Access 目录时将其映射到 employeeNumber 属性。

属性的工作方式

“用户属性”页面中的属性适用于 Workspace ONE Access 服务中的所有目录。更改用户属性时，请考虑此操作对所有目录的影响。例如，如果您计划同时添加 Active Directory 和 LDAP 目录，请确保不要将任何属性标记为“必需”，但 Username 除外。如果将属性标记为“必需”，则不包含该属性值的用户记录将不会同步到 Workspace ONE Access 服务。

在创建目录时，将在向导的映射属性部分中显示“用户属性”页面中的属性列表，您可以指定 Workspace ONE Access 属性与 Active Directory 或 LDAP 目录属性之间的映射。在创建目录后，您可以从目录的同步设置选项卡中查看和更新属性映射。

在 Workspace ONE Access 服务中创建任何目录后，您将无法再在“用户属性”页面上将属性标记为“必需”。仍然允许对用户属性进行以下更改：

  • 添加自定义属性（“用户属性”页面）
  • 删除自定义属性（“用户属性”页面）
  • 将必需属性更改为可选属性（“用户属性”页面）
  • 更改属性映射（目录的同步设置选项卡）

创建目录后在“用户属性”页面中完成并保存的更改将在下次同步时应用到目录。

重要要求

  • 如果将任何用户属性映射到 Active Directory 属性 objectGUID 或 mS-DS-ConsistencyGuid，则所有用户必须在 Active Directory 中具有非空属性值，并且该值的长度必须恰好为 16 字节。此外，您必须使用正确大小写将 Workspace ONE Access 属性映射到正确的 Active Directory 属性名称。如果属性名称不匹配，则会返回 Null 值，并且目录同步失败。例如，如果在 Active Directory 中使用 mS-DS-ConsistencyGuid 属性，并在 Workspace ONE Access 中指定 ms-DS-ConsistencyGuid，目录同步将失败。
  • sourceAnchor 属性具有以下要求：
    • sourceAnchor 属性区分大小写。
    • 在将用户同步到 Workspace ONE Access 后，无法更改属性值。
    • 属性值的长度必须少于 60 个字符。不是 a-z、A-Z 或 0-9 的字符将编码并计为 3 个字符。
    • 属性值不得包含特殊字符：\ ! # $ % & * + / = ? ^ ` { } | ~ < > ( ) ' ; : , [ ] " @ _
    • 如果将 sourceAnchor 属性映射到非字符串类型的属性，则对属性值进行 Base64 编码以确保不会出现特殊字符，并确保这些值与 Microsoft 编码格式匹配。
    • 如果将 sourceAnchor 属性映射到二进制属性，请确保这些值符合正确的 GUID 格式。
    • 有关属性要求的完整列表，请参阅 Microsoft 文档中的选择良好的 sourceAnchor 属性。